View
103
Download
0
Category
Preview:
Citation preview
1
DDoS-Angriffe erfolgreich abwehren
Jörg von der HeydtChannel & Marketing Manager GermanyFebruar 2013
2
AGENDA
• Was ist eine DDos-Attacke?• Was bezwecken DDoS Attacken?• Welche Arten von DDoS-Attacken gibt es?• Wie entsteht eine DDoS-Attacke?• Welchen Schutz gibt es?• Auswahlkriterien
3
WAS IST EINE DDOS-ATTACKE?
Ein Angriff, dessen Ziel es ist,
ein Netzwerk, eine Applikation oder einen Dienstes so zu stören,
dass Systeme oder User keinen Zugriff mehr darauf haben.
Jedes Unternehmen mit einem Internetzugang,
einer Webpräsenz, einem Portal, einem Webshop oder anderer via Web erreichbarer
Dienste kann zum Ziel werden.
4
AKTUELLE NEWS ZUM THEMA
5
WAS BEZWECKEN DDOS ATTACKEN?
• Aufmerksamkeit z.B. politische oder gesellschaftskritische Motivation
Beispiel: Anonymus
• Rache Änderung/Limitierung eines Angebots
Beispiel: Sony Playstation Services
• Finanziell Rufschädigung oder Nichtverfügbarkeit eines Wettbewerbers
• Verschleierung Ablenkung vom eigentlichen Angriff „Durchschleusen“ von Angriffen
6
WELCHE ARTEN VON DDOS ATTACKEN GIBT ES?
Vier Hauptziele von DDoS-Angriffen
Web Hosting Center
Firewall
ISP 1
ISP 2 Back End Databanken u. -Server
Server ResourcenSQL Injection Schwachstellen
Web Hosting ServerServer Schwachstellen,
Prozess- und Verbindguns-Limits
Firewall / IPS SystemeVerbindungstabellen,
Forwarding und Session Setup Prozesse
BandbreiteÜberfluten der vorhandenen Leitungskapazität mit nicht
legitimem Traffic
7
UNTERSCHIEDLICHE ARTEN VON ANGRIFFEN
Volumen Angriffe
• belegen Internet-Leitungen
• überlasten Firewalls, Server- und andere Resourcen
• Typische Beispiele•SYN flood, UDP flood, ICMP flood und SMURF Angriffe
Application Layer Angriffe
• intelligenter• benötigen weniger
Resourcen • Botnet-Kosten
• Zielen auf Schwachstellen in Applikationen
•Umgehung von Flood-Erkennungs-mechanismen
Cloud Infrastruktur Angriffe
• Cloud-Lösungen wandeln das Internet in das “Corporate WAN”
• Angriffe zielen auf die gesamte Cloud Infrastruktur (Firewall, Mail & Web Server)
• Erkennung und Abwehr sind komplex
• Angriffe können gleichzeitig mehrere Kunden betreffen
8
ANGRIFFSMETHODEN UND -TOOLS
• Viele verschiedene Konfigurierbare Perl-Skripte,
Java-Skripte, fertige Tools Windows, OSX, Android
• Verteilung als Stress Tester Utilities Development Toolkits Malware
• Nutzung als Individueller Angriff Freiwillige ‘Hacktivisten’
Attacke Botnet-gestützte Attacke
booster scripts
9
BOTNET CONTROL CENTRE
10
TOUJOURS
• Tool der Gruppe Anonymous einfachst zu nutzen
einfacher Download simpler „Klick“ auf Button
freiwillige Teilnahme an einem Anonymous-Botnet Bereitstellen des eigenen PCs für kollektive DDoS-Attacke NULL Vorkenntnisse erforderlich
11
TRADITIONELLE VOLUMEN ANGRIFFE
• SYN Flood Zielt auf die Verbindungstabellen (Router/Firewall) Layer 3 Angriff Ziel wird mit TCP SYN Paketen “geflutet”
Session
TimeSessionTimeout
Maximum concurrent connections
12
EIN PAAR ZAHLEN
Minimales Paket für eine neue Session = 84 bytes
Max. PPS (84 bytes) = Anzahl neuer Sessions/Sek.
13
DDOS ANGRIFF AUF APPLIKATIONEN
• Ziel und Service genau bekannt Email/SMTP, DNS, Web/HTTP, SQL, SSH
• benötigt intelligente Tools Möglichkeit des Updates und der Anpassung bereits heute und in großem Umfang verfügbar!
• benötigen keine aufwändigen Resourcen i.d.R. genügen ein oder wenige Angreifer aufwändiges Mieten oder Einrichten von Botnets entfällt
• applikations-basierende DDoS-Angriffe machen bereits 25% aller Angriffe aus Wachstum im dreistelligen %-Bereich!
• kontinuierliche Weiterentwicklung zu beobachten Verhinderung der Angriffserkennung Schutz der Angreifer-Identität
14
DER SLOWLORIS ANGRIFF
• Angriff auf HTTP von einem einzigen Client PC alt(!!), bereits in 2009 erkannt
• öffnet eine Verbindung zu einem Web Server nicht alle Webserver sind verwundbar
• sendet gültige, aber unvollständige, nicht endende Anfragen Prinzip: Sende “irgendwas” um ein Timeout zu verhindern
• Sockets werden offen gehalten Keine Sockets … Kein Service
GETHEADPOST
X-a
15
DDOS Abwehr mit
• FortiGate Security Appliance (NGFW/UTM)• FortiWeb Web Application Firewall (WAF)• FortiDDOS Appliance
16
FORTIGATE IPS PROZESS
Stateful Inspection Engine
Interface Policy
Flow Based Inspection Engine
Interface (Link Layer)
Network Processing Module
IPS Sensor(predefined & custom
Signatures)
(interface)IPS Sensor
Proxy Based Scanning Engine
Network Processing Module
Interface (Link Layer)
Application Control Sensor
Flow AV
Flow WCF
Flow DLP
Signature DB
(Interface) Application
Control Sensor
Signature DB
DoS Sensor
17
DOS SENSOREN
DOS Abwehr• Erkennt und entschärft Traffic, der Teile einer DoS-Attacke ist• Anwendung als DOS-Policy VOR den Firewall-Policies• Schwellwertbasierend für verschiedene Netzwerk-Operationen
TCP UDP ICMP
Packet Rate to a Destination IP TCP_SYN_FLOOD UDP_FLOOD ICMP_FLOOD
Packet Rate from a Source IP TCP_PORT_SCAN UDP_SCAN ICMP_SWEEP
# of Concurrent Sessions to a Destination IP
TCP_DST_SESS UDP_DST_SESS ICMP_DST_SESS
# of Concurrent Sessions From a Source IP
TCP_SRC_SESS UDP_SRC_SESS ICMP_SRC_SESS
18
DDOS ABWEHR MIT FORTIASICS (SP2/XG2-MODULE)
• Eingehender Traffic wird zunächst vom XG2-Modul bearbeitet• keine Beeinträchtigung anderer ASICs
oder der CPU
• SYN-Proxy erkennt fehlendes SYN-ACK
• Denial of Service Protection
• FortiASIC-NP4 erzeugt die Session übernimmt Load Balancing
• IPS Engine Processing wird auf mehrere XG2-Module verteilt DOS Protection
Load Balancing
Firewall session
IPS Engine Processing
FMC-XG2 FMC-XG2
FMC-XG2
FortiASICNP4
FMC-XG2
20
DDOS Abwehr mit
• FortiGate Security Appliance (NGFW/UTM)
• FortiWeb Web Application Firewall (WAF)• FortiDDOS Appliance
21
FORTIWEB DOS/DDOS ABWEHR
Applikations- und netzwerkbasierend• Analyse der Anfragen basierend auf
IP-Adresse oder Cookie• Erkennung, ob echte User oder automatisierte Angriffe
(HOIC, LOIC tools)• Application layer – 4 mögliche Policies
• HTTP Access Limit • beschränkt die Anzahl der HTTP-Requests/Sek. von einer IP_Adresse
• Malicious IPs • beschränkt die Anzahl der TCP-Verbindungen mit demselben Session-Cookie
• HTTP Flood Prevention • beschränkt die Anzahl der HTTP-Requests/Sek. mit demselben Session-Cookie
• Real Browser Enforcement • Sendet Skript an Client zur Erkennung, ob es sich um einen realen Browser oder ein
Automatisiertes Tool handelt
• Network layer – 2 verschiedene Policies• TCP Flood Prevention
• beschränkt die Anzahl von TCP-Verbindungen von derselben IP-Quelladresse
• SYN Cookie • schützt gegen SYN Flood Angriffe
22
DDOS Abwehr mit
• FortiGate Security Appliance (NGFW/UTM)• FortiWeb Web Application Firewall (WAF)
• FortiDDOS Appliance
23
FORTIDDOS ABWEHRMECHANISMEN
• Einsatz VOR der Firewall Transparente Integration Bypass Option mit FortiBridge Datenfluss-Processing mit FortiASIC-TP
• automatische Modellierung des erlaubten Traffics “Baselining” abh. von Kalenderdaten adaptive Schwellwert-Anpassung
typisches Traffic-Wachstum wird berücksichtigt keine erneute Messung erforderlich
Unterstützung mehrerer Links bis zu 8 virtuelle Instanzen keine zusätzliche HW Appliance erforderlich
Hosting Center
FirewallFortiGate
DDOS Schutz mitFortiDDOS
Links fromISP(s)
24
FORTIDDOS ABWEHRMECHANISMEN
Hardware beschleunigte DDoS Abwehr
FortiDDoS™
Web Hosting Center
Firewall
Legitimate TrafficMalicious Traffic
ISP 1
ISP 2
Rate Based Detection Inline Full Transparent Mode
keine MAC-Addressänderung
Self Learning Baseline Anpassung i.Abh.v. Verhalten
Granularer Schutz detaillierte Schwellwerteinstellung schnellere Reaktion auf
Veränderungen weniger False Positives
25
FORTIDDOS ARBEITSWEISE
• Erkennung vollständig in Hardware Paketverarbeitung durch FortiASIC-TP Klassifizierung und Bewertung über
verschiedene Ebenen/Layer Korrelation mit dynamisch erzeugtem
Traffic-Modell Erkennung von
Protokoll Anomalien Schwellwert-Überschreitungen und Applikation Level Angriffen
• Eliminierung erfolgt auf FortiDDOS Keine Traffic-Umleitung oder Control Plane
Unterbrechung (BGP) keine versteckten Kosten einfacher Einsatz sofortige Wirkung
Virtual Partitioning
Geo-Location ACL
Protocol AnomalyPrevention
Packet FloodMitigation
Stateful InspectionOut of State Filtering
Granular Layer 3 and 4Filtering
Application LayerFiltering
Algorithmic Filtering
Heuristic Filtering
Bogon Filtering
Att
ack T
raffi
c
Leg
itim
ate
Tra
ffic
26
TRAFFIC BASELINING
27
AUSWAHLKRITERIEN ZUR DDOS-ABWEHR
Neueste Technologie Angreifer arbeiten mit „New Technology“ „Old-School“-Abwehr versagt hier
Zentrales Monitoring Überwachung aller Netzwerk- und DDoS-
Vorkommnisse im gesamten Netz z.B. mittels SNMP, Cacti oder MRTG Korrelation von Syslog-Events auf einem zentralen
Server
Granulare Langzeit-Überwachung ideal über min. 12 Monate Vergleich über Traffic-Entwicklung
Alarmierungs-Hierarchie Prozess-Definition: Wer bekommt welchen Alarm? Voraussetzung: Reporting nach
Top10-Angreifer/Ziel/Angriffsform oder customized report
Umfangreiche Filtermechnismen zur Reduzierung von False-Positives
Low Latency Sensitive Umgebungen (Shops, eTrading usw.)
bedürfen extrem kurzer Latenzzeiten
Hardware-basierte DDoS-Logik DDoS Erkennung in Software ist „mainstream“, aber
bei Volumenattacken wirkungslos
Bypass- und Redundanz-Fähigkeit Ausfall der Appliance ist system- und
unternehmenskritisch -> Bypass muss möglich sein Asymmetrischer Traffic-Support (Inbound/Outbound) Multiple Link Support für X-Connect mit weiteren
Appliances
Skalierbarkeit
28
KOMPLEMENTÄRE FORTINET DDOS LÖSUNGEN
• Schutz: Netzwerk Infrastruktur• Technologie: DDoS Abwehr als erste Abwehrinstanz;
Anomalieerkennung basierend i.w. auf Schwellwerten; nur grundlegende Protokollanalyse und Granularität
• Abwehr von: low-volume netzwerkbasierende Angriffe wie TCP SYN flood, UDP/ICMP floods, TCP port scans, etc. oder high-volume bei SP2/SP3 (FG3140, FG3950)
FortiGate
• Schutz: Web- und Applikations-Server• Technologie: Transparenter Challenge/Response Ansatz, um
erlaubte Requests zu identifizieren• Abwehr von: Netzwerk- und Application-Layer Angriffen, die auf
Applikationen , Web Services wie z.B. HTTP GET/POST Requests, Slowloris, SQL injection, abzielen.
FortiWeb
• Schutz: Webhosting- oder Netzwerk Infrastruktur UND Security Infrastruktur (wie Firewalls und IPS etc.)
• Technologie: L2 transparent device mit Auto Traffic Profiler Learning; High performance ASIC-beschleunigte Erkennung und Abschwächung von Angriffen über alle Ebenen hinweg (L3, L4 and L7), unter Einbe-ziehung aller 256 Protocolle und bis zu 1 Million source/destination IP Addressen; Entwickelt für hohe Angriffslast ohne Einfluss auf Durch-satz; Auto-Learning beschleunigt den Einsatz bei minimalem Konfigu-rationsaufwand
FortiDDoS
Fort
iGate
Fort
iWeb
Fort
iDD
oS
29
Vielen Dank!
Jörg von der HeydtChannel & Marketing Manager Germany FORTINET GmbH | Märkischer Ring 75 | 58097 HagenTel +49 2331 924609Fax +49 2331 924699Mob +49 163 2925774Email jvdheydt@fortinet.comWeb www.fortinet.com
Recommended